Un gîte de la vallée de la Rance fait une mise à jour en hiver. Depuis, son formulaire de réservation n’envoie plus rien. Personne ne s’en aperçoit avant le printemps, quand un client appelle pour savoir pourquoi on ne lui a jamais répondu. Le site s’affichait parfaitement. Il ne servait simplement plus à rien.
WordPress fait tourner une grande partie des sites du web, dont beaucoup de sites d’entreprises du pays de Dinan. Nous l’utilisons volontiers quand il répond au besoin, à une condition : qu’on l’entretienne. Son cœur, son thème et ses extensions évoluent sans arrêt, et un site laissé à lui-même se fragilise sans faire de bruit. Voici ce qu’il faut surveiller, et à quel rythme.
Les mises à jour, et dans quel ordre
Un site WordPress empile trois couches qui se mettent à jour séparément : le cœur, c’est-à-dire le logiciel WordPress lui-même, le thème, qui gère l’apparence, et les extensions (plugins), qui ajoutent les formulaires, la boutique, la réservation ou le référencement. En dessous, il y a la version de PHP, le langage qui fait fonctionner WordPress, réglée chez l’hébergeur. Une version trop ancienne ne reçoit plus de correctifs.
L’ordre de priorité
- Les correctifs de sécurité passent en premier, quel que soit l’élément concerné, dès leur publication. Des robots parcourent le web en permanence à la recherche des failles connues.
- Viennent ensuite les extensions exposées au public : formulaires, boutique, réservation, constructeur de pages. Ce sont les plus ciblées, et celles dont la panne coûte le plus.
- Les versions majeures du cœur peuvent attendre quelques jours, le temps que les extensions s’adaptent. Les mises à jour mineures de sécurité du cœur, elles, s’installent automatiquement par défaut.
- Le thème et les autres extensions sont regroupés lors du passage hebdomadaire.
La bonne méthode
On ne met rien à jour sans une sauvegarde faite juste avant. Pour un site qui vend ou qui réserve, les mises à jour importantes se testent d’abord sur une copie du site (un environnement de test). Mettez à jour les extensions sensibles une par une, puis vérifiez les pages importantes et les formulaires. Et supprimez les extensions désactivées : elles dorment sur le serveur, mais restent attaquables.
Les sauvegardes et la règle 3-2-1
Une sauvegarde complète comprend les fichiers (thème, extensions, images, documents) et la base de données (textes, réglages, commandes, comptes clients). Sans l’un des deux, la sauvegarde ne permet pas de remettre le site en route. Pour le reste, la règle 3-2-1 se retient facilement :
- trois copies de vos données, l’original compris ;
- sur deux supports différents, par exemple le serveur de l’hébergeur et un espace de stockage externe ;
- dont une hors site, conservée ailleurs que chez votre hébergeur, pour survivre à une panne, un sinistre ou un piratage du serveur.
Gardez aussi plusieurs versions anciennes : un piratage est parfois découvert des semaines après l’intrusion, et la sauvegarde de la veille contient déjà le problème.
Et testez la restauration. Une sauvegarde qu’on n’a jamais restaurée reste une hypothèse : archive incomplète, base de données absente, fichier trop lourd pour être réimporté… En général, on le découvre le jour où l’on en a besoin. Restaurez régulièrement une sauvegarde sur un environnement de test, et vérifiez que tout revient.
La sécurité commence par les comptes
Beaucoup d’intrusions ne demandent aucun génie. Un mot de passe faible, le compte d’un stagiaire parti depuis longtemps, une extension pas à jour, et la porte est ouverte.
Prévoyez un compte nominatif par personne, avec le rôle minimum nécessaire, et très peu d’administrateurs. Supprimez les comptes des anciens salariés, stagiaires et prestataires. Exigez des mots de passe longs et uniques, rangés dans un gestionnaire de mots de passe, et activez la double authentification pour les administrateurs : en plus du mot de passe, un code temporaire reçu ou généré sur le téléphone. Limitez aussi les tentatives de connexion, pour décourager les robots qui testent des combinaisons en boucle. Et appliquez la même rigueur à l’accès à l’hébergement, au FTP et à la messagerie liée au site.
Les extensions abandonnées
Une extension qui n’a pas été mise à jour depuis longtemps, ou qui a disparu du répertoire officiel de WordPress, ne sera plus corrigée. Remplacez-la par une alternative maintenue. Quant aux versions « gratuites » d’extensions payantes trouvées sur des sites douteux, nous les déconseillons sans réserve : elles contiennent fréquemment du code malveillant.
Disponibilité, HTTPS et nom de domaine, ces pannes qui ne font pas de bruit
La disponibilité
Un site peut tomber un vendredi soir et rester inaccessible tout le week-end sans que personne ne s’en rende compte. Un service de surveillance l’interroge à intervalles réguliers et vous alerte dès qu’il ne répond plus.
Le certificat HTTPS
Le cadenas de la barre d’adresse repose sur un certificat qui expire et doit être renouvelé. En général, cela se fait tout seul. Mais le renouvellement peut échouer après un changement d’hébergeur ou de réglages du domaine, et le navigateur affiche alors une alerte qui fait fuir les visiteurs. Comme la durée de validité maximale des certificats raccourcit progressivement, un renouvellement automatique, et surveillé, devient indispensable.
Le nom de domaine
C’est la panne la plus bête, et l’une des plus graves. Un nom de domaine non renouvelé à temps, et ce sont le site et les adresses e-mail qui s’arrêtent. Vérifiez la date d’échéance, activez le renouvellement automatique, et contrôlez la carte bancaire et l’adresse de contact enregistrées chez le bureau d’enregistrement : une carte expirée suffit à bloquer le renouvellement. Un domaine expiré depuis trop longtemps peut être racheté par quelqu’un d’autre. Vérifiez enfin qu’il est bien à votre nom, et pas à celui d’un ancien prestataire. Chez nous, le client est propriétaire de son site, de son nom de domaine et de ses contenus.
Formulaires, e-mails et performances
Des messages qui arrivent vraiment
Par défaut, WordPress envoie ses e-mails d’une façon que les messageries jugent peu fiable. Les messages de vos formulaires peuvent finir en indésirables, voire se perdre. Pour l’éviter, on passe par un vrai serveur d’envoi (SMTP) et on configure deux réglages sur le nom de domaine :
- SPF : la liste des serveurs autorisés à envoyer des e-mails au nom de votre domaine, un peu comme la liste des personnes habilitées à signer pour vous.
- DKIM : une signature numérique apposée sur chaque message, qui prouve qu’il vient bien de votre domaine et n’a pas été modifié en route.
Un troisième réglage, DMARC, indique aux messageries que faire d’un message qui échoue à ces contrôles. Les grandes messageries, Gmail en tête, sont de plus en plus strictes sur ces points. Enfin, une fois par mois, envoyez-vous un message de test par chaque formulaire. Ce test de deux minutes aurait évité au gîte de notre exemple de perdre son printemps.
Les performances
Un site qui ralentit perd des visiteurs, surtout sur mobile. Et il ralentit rarement d’un coup : ce sont les images ajoutées au fil des années sans être allégées, les extensions qui s’accumulent, un cache mal réglé, une base de données encombrée d’anciennes révisions et de données temporaires. Dans la Search Console, le rapport « Signaux Web essentiels » repère les pages lentes.
Quand le site est piraté
Les signes qui doivent alerter
- des redirections vers des sites douteux, parfois uniquement sur mobile ou depuis Google ;
- des pages inconnues dans Google (tapez
site:votredomaine.frdans la recherche), souvent en langue étrangère ou vantant des médicaments ; - un avertissement dans Google, dans le navigateur ou dans la rubrique « Problèmes de sécurité » de la Search Console ;
- un compte administrateur que vous n’avez pas créé ;
- un hébergeur qui suspend le site, des e-mails qui ne partent plus, un site soudain très lent.
Que faire
- Ne supprimez rien dans la précipitation. Gardez une copie du site dans son état actuel, elle servira à comprendre l’attaque.
- Changez tous les mots de passe, sans exception : WordPress, hébergement, FTP, base de données, messagerie.
- Prévenez votre hébergeur et, si besoin, mettez le site en maintenance.
- Restaurez une sauvegarde saine, antérieure à l’intrusion, ou faites nettoyer le site par un professionnel.
- Corrigez la cause (extension vulnérable, compte compromis, version obsolète), sinon le pirate reviendra par la même porte.
- Demandez un réexamen dans la Search Console si Google affiche un avertissement.
Si des données personnelles de clients ont pu être exposées, le RGPD impose de notifier la CNIL dans les 72 heures lorsque la violation présente un risque pour les personnes concernées.
Le calendrier de maintenance
| Fréquence | Ce qu’il faut faire |
|---|---|
| En continu (automatisé) | Surveillance de la disponibilité, sauvegardes quotidiennes, correctifs de sécurité urgents |
| Chaque semaine | Mises à jour des extensions et du thème après sauvegarde, contrôle des sauvegardes et des alertes de sécurité |
| Chaque mois | Test des formulaires et des e-mails, contrôle de la vitesse, lecture de la Search Console, suppression des extensions inutiles |
| Chaque année | Renouvellement du nom de domaine, version de PHP, revue des comptes et des accès, audit des extensions, test complet de restauration (plutôt plusieurs fois par an) |
Cette semaine, prenez dix minutes : envoyez-vous un message par le formulaire de votre site, puis vérifiez la date d’échéance de votre nom de domaine. Ce sont deux des pannes les plus sournoises, et les plus faciles à éviter. Le reste n’a rien de très compliqué ; ce qui coûte, c’est la régularité. Si vous préférez vous consacrer à votre métier, notre offre de maintenance de site internet prend ces tâches en charge, avec un interlocuteur unique et local qui connaît votre site. Un site WordPress à créer ou à reprendre ? Voyez notre approche de la création de site WordPress, ou contactez-nous : nous répondons sous 24 à 48 h ouvrées.
